來自 Red Hat 安全性公告 2012:0884：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 openssh 套件，可修正一個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

OpenSSH 是 OpenBSD 的 Secure Shell (SSH) 通訊協定實作。這些套件包括 OpenSSH 用戶端和伺服器所需的核心檔案。

在 OpenSSH GSSAPI 驗證實作中發現拒絕服務瑕疵。遠端驗證使用者可利用此瑕疵造成 OpenSSH 伺服器程序 (sshd) 使用過量記憶體，導致拒絕服務。GSSAPI 驗證預設為啟用 (「/etc/ssh/sshd_config」中的「GSSAPIAuthentication yes」)。(CVE-2011-5000)

這些更新版 openssh 套件也提供下列錯誤的修正：

* 若已啟用 IPv6 且參數 X11UseLocalhost 設定為「否」，則 SSH X11 轉送會失敗。因此，使用者可能無法設定 X 轉送。此更新修正了 sshd 與 ssh 以針對 IPv6 通訊協定正確連結連接埠。因此，X11 轉送現在可如預期與 IPv6 搭配使用。(BZ#732955)

* 當執行壓力測試時，sshd 程序由 OOM 終止程式終止。因此，使用者可能無法登入。在此更新之下，sshd 程序會將其 oom_adj 值設定為 -17。因此，OOM 終止程式並未選擇 sshd，使用者能夠登入以解決記憶體的問題。(BZ#744236)

* 如果 SSH 伺服器設定了包含反斜線字元的標題，用戶端將會以另一個「\」字元將其逸出，所以它會印出兩個反斜線。已套用上游修補程式以更正此問題，且 SSH 標題現在能夠正確顯示。(BZ#809619)

此外，這些更新版 openssh 套件可提供下列增強功能：

* 之前，SSH 允許多種驗證方式，而成功登入只需要其中一種方式。SSH 現在可以設定為需要多種驗證方式。例如，登入啟用 SSH 的機器需要同時輸入複雜密碼與公開金鑰。RequiredAuthentications1 與 RequiredAuthentications2 選項可在 /etc/ssh/sshd_config 檔案中設定以指定成功登入所需要的驗證。例如，若要針對 SSH 第 2 版設定金鑰與密碼驗證，請輸入：

echo 'RequiredAuthentications2 publickey,password' >> /etc/ssh/sshd_config

如需前述 /etc/ssh/sshd_config 選項的詳細資訊，請參閱 sshd_config 手冊頁。(BZ#657378)

* 之前，OpenSSH 可能僅針對 AES 加密區塊鏈結 (CBC) 套用進階加密標準新指令集 (AES-NI)。此更新新增了對於 OpenSSH 中計數器 (CTR) 模式加密的支援，因此 AES-NI 指令集現在也可與 AES CTR 加密有效搭配使用。(BZ#756929)

* 在此更新之前，無權限的從屬 sshd 處理程序在權限分隔 (privsep) 期間以 sshd_t 內容的形式執行。sshd_t 是用來執行 sshd 程序的 SELinux 內容。假設無權限的從屬處理程序在使用者的 UID 之下執行，則適合在使用者的 SELinux 內容之下，而非在具權限的 sshd_t 內容之下執行此處理程序。在此更新之下，無權限的從屬處理程序現在以使用者的內容身分，而非符合權限分隔原則之 sshd_t 內容的身分執行。可能對安全性威脅更敏感的無權限的處理程序，現在會在使用者的 SELinux 內容之下執行。
(BZ#798241)

建議使用者升級至這些更新版 openssh 套件，其中包含可解決這些問題的反向移植修補程式並新增這些增強功能。安裝此更新之後，OpenSSH 伺服器程序 (sshd) 將會自動重新啟動。

偵測

Oracle Linux 6 : openssh (ELSA-2012-0884)

low Nessus Plugin ID 68558

找不到變更記錄